AVideo посредством фиксации c3edcc274c389816d434acadac07ee78eaf330c1 не может проверить показы рекламы в плагине/AD_Server/log.php, что позволяет вошедшим в систему пользователям отправлять произвольные значения меток, которые вызывают непроверенные кредиты кошелька владельцам видео кампании. Злоумышленники могут неоднократно запрашивать POST label=start для вывода баланса YPTWallet для любого видео кампании без доказательства того, что реклама действительно воспроизводилась.
Показать оригинальное описание (EN)
AVideo through commit c3edcc274c389816d434acadac07ee78eaf330c1 fails to validate ad impressions in plugin/AD_Server/log.php, allowing logged-in users to submit arbitrary label values that trigger unverified wallet credits to campaign video owners. Attackers can repeatedly POST label=start requests to mint YPTWallet balance for any campaign video without proof an ad actually played.
Характеристики атаки
Последствия
Строка CVSS v4.0